PHP-lek treft webshops: liever offline dan onveilig

Een dubbel PHP-lek zorgde deze week voor grote internetverstoringen. Veel online ondernemers haalden hun webshop uit voorzorg offline. Inmiddels zijn de meeste websites weer bereikbaar, maar experts verwachten meer van dit soort beveiligingsincidenten. “Preventief offline gaan is een heel verstandige keuze.”

De problemen ontstonden door kwetsbaarheden in PHP. Die programmeertaal wordt gebruikt door bijna 70 procent van de websites waarvan de servertechnologie bekend is. PHP vormt de technische basis voor veelgebruikte webwinkelsoftware, zoals WooCommerce (WordPress), Magento, Shopware en PrestaShop. Daardoor kunnen beveiligingslekken in PHP gevolgen hebben voor een groot aantal webwinkels, ook als er met de software zelf niets mis is.

Mogelijk toegang tot servers

Via de lekken zouden hackers toegang kunnen krijgen tot de servers waarop webwinkels draaien. Daarmee zouden ze bijvoorbeeld klant- en betaalgegevens kunnen buitmaken, webshops kunnen aanpassen of de verkoop kunnen stilleggen. Na de melding van PHP besloten veel online ondernemers hun site woensdag offline te (laten) halen. Dat deden onder andere EasyToys, MyJewellery, Skins en XXL Nutrition. Ook de sites van winkelketens als Hoogvliet en Wibra gingen op zwart.

Mijndomein haalde de sites van alle klanten uit de lucht

Soms werd de beslissing niet door, maar voor ondernemers genomen: hostingprovider Mijndomein besloot woensdag om de sites van al zijn klanten, waaronder webwinkels, offline te halen. Ze gingen later die dag weer online toen een beveiligingsupdate was uitgebracht. Ook Buro Staal haalde websites van klanten preventief offline. Bij webdienstverlener WebNL gebeurde dat op initiatief van de achterliggende hostingpartij.

‘Offline gaan betekent omzetverlies’

WordPress-hostingbedrijf Heijsen besloot juist om de sites van klanten in de lucht te houden. “Ik ben zelf in de code gedoken om te kijken waar het precies aan lag”, vertelt cybersecurityexpert Abdul Malek van het bedrijf aan Quote: “Daaruit bleek dat we het met extra firewallregels en een limiet op uploads goed konden afdekken tot de patch er was. Voor een webshop betekent offline gaan omzetverlies en dat wilden we onze klanten besparen. Klanten die liever het zekere voor het onzekere namen, konden we binnen enkele minuten offline halen.” Uiteindelijk koos slechts één klant daarvoor.

 ‘Het kost nog veel meer als het fout gaat’

René van der Zel (XXL Nutrition) en Eric Idema (EasyToys) vertellen aan het zakenblad dat ze liever het zekere voor het onzekere nemen. Idema: “Het is natuurlijk vervelend, maar het kost nog veel meer als het helemaal fout gaat. En vandaag gaan we gewoon weer door.”

Bol verlengde de verwerkingstermijn

De gevolgen van het PHP-lek reikten verder dan de getroffen websites zelf. Thuiswinkel.org haalde uit voorzorg niet alleen een aantal websites, maar ook zijn Waarborg Widget voor leden offline. Bol meldde zelf niet geraakt te zijn, maar zag dat verschillende integratiepartners hun dienstverlening tijdelijk staakten. Daardoor konden verkooppartners problemen krijgen met de verwerking van bestellingen. Het platform, waarop tienduizenden Nederlandse verkopers actief zijn, verlengde de verwerkingstermijn met 24 uur. Zo wilde de marktleider automatische annuleringen van partnerbestellingen voorkomen.

De financiële schade is onduidelijk

Hoeveel financiële schade Nederlandse webwinkels hebben geleden door gemiste bestellingen, vertraagde orderverwerking en herstelwerkzaamheden, is onduidelijk en moeilijk te becijferen. Het incident maakte hoe dan ook zichtbaar hoe afhankelijk webwinkels zijn van technische leveranciers en andere zakelijke partners.

Verwachting: meer meldingen

Cybersecurityexperts verwachten meer van dit soort incidenten. Met behulp van AI worden kwetsbaarheden in software steeds sneller ontdekt, zowel door beveiligingsonderzoekers als door kwaadwillenden. De PHP Foundation verwacht zelf ook meer meldingen van problemen. De stichting probeert haar beveiligingsorganisatie te versterken.

‘Offline gaan moeten we belonen als samenleving’ 

Webwinkels en andere websites zullen vaker uit voorzorg offline worden gehaald, is de verwachting. Volgens cybersecurityexpert Inge Bryan verdient preventieve actie een pluim: “Dat is een heel verstandige keuze, iets wat we moeten belonen als samenleving”, zegt ze tegen EenVandaag. “De consument moet gaan begrijpen dat er diensten en websites offline worden gehaald en gewoon een tijd preventief niet beschikbaar zijn.”